Rechtsfrage
Wie die Risikoklasse eines Systems feststeht
Ein System gilt nach Art. 6 Abs. 1 KI-VO als hochriskant, wenn es Sicherheitsbauteil eines Produkts nach Anhang I ist, oder nach Absatz 2, wenn es unter einen der acht Bereiche des Anhangs III fällt, etwa die Kreditwürdigkeitsprüfung nach Nummer 5 Buchstabe b. Für die Fälle des Anhangs III nimmt Absatz 3 ein System unter vier engen Bedingungen wieder heraus, es sei denn, es nimmt ein Profiling vor. Betreiber eines Systems nach Nummer 5 Buchstaben b oder c schulden zusätzlich eine Grundrechte-Folgenabschätzung nach Art. 27 KI-VO, die eine bereits durchgeführte Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ergänzt.
Ein System bewertet die Kreditwürdigkeit vor
Ein Unternehmen setzt ein System ein, das die Kreditwürdigkeit von Kundinnen und Kunden automatisch bewertet und daraus einen Score bildet. Die Frage nach den Pflichten wird gestellt, bevor feststeht, ob das System überhaupt als hochriskant gilt.
Ohne diese Einstufung bleibt jede weitere Prüfung ohne Maßstab.
Zwei Wege in die Hochrisiko-Klasse
Die Einstufung folgt aus Art. 6 KI-VO über zwei getrennte Wege.
Zwei Absätze, zwei Prüfmaßstäbe
| Absatz 1 | Merkmal | Absatz 2 |
|---|---|---|
| Sicherheitsbauteil eines Produkts nach Anhang IArt. 6 Abs. 1 KI-VO. Oder das System ist selbst ein solches Produkt. | Anknüpfungspunkt | Anwendungsfall aus Anhang IIIArt. 6 Abs. 2 KI-VO. Acht Bereiche, darunter Beschäftigung, Bildung und der Zugang zu wesentlichen Diensten. |
| Konformitätsbewertung durch Dritte ist vorgeschrieben | Weitere Bedingung | Keine, außer der Rückausnahme des Absatzes 3 |
Ein System zur Kreditwürdigkeitsprüfung fällt unter Absatz 2, weil Anhang III Nummer 5 Buchstabe b es ausdrücklich nennt.
Die Rückausnahme ist eng und dokumentationspflichtig
Ob sich ein Anhang-III-System herausrechnen lässt, ist keine Ermessensfrage. Art. 6 Abs. 3 KI-VO nennt dafür einen abschließenden Katalog.
Eine der vier Bedingungen muss vorliegen, sonst bleibt es bei der Hochrisiko-Einstufung
Liste zu erledigender Punkte
- Das System führt nur eine eng gefasste Verfahrensaufgabe aus
- Es verbessert das Ergebnis einer bereits abgeschlossenen menschlichen Tätigkeit
- Es erkennt Abweichungen von früheren Entscheidungsmustern, ohne die menschliche Bewertung ohne Überprüfung zu ersetzen
- Es bereitet eine Bewertung nach Anhang III lediglich vor
Wer sich auf die Rückausnahme beruft, dokumentiert diese Bewertung nach Art. 6 Abs. 4 KI-VO vor dem Inverkehrbringen. Zusätzlich meldet er das System nach Art. 49 Abs. 2 KI-VO in der EU-Datenbank an.
Die Grundrechte-Folgenabschätzung ergänzt eine bestehende Datenschutz-Folgenabschätzung
Ob die Einstufung schon jede Pflicht abschließt, hängt vom Anhang-III-Bereich ab. Art. 27 Abs. 1 KI-VO verpflichtet jeden Betreiber eines Systems nach Nummer 5 Buchstaben b oder c vor der ersten Verwendung zu einer Abschätzung der Auswirkungen auf die Grundrechte, unabhängig davon, ob er eine öffentliche oder private Stelle ist.
Eine Kreditwürdigkeitsprüfung bewertet persönliche Aspekte systematisch und umfassend auf der Grundlage automatisierter Verarbeitung einschließlich Profiling und bildet die Grundlage für eine Entscheidung über den Zugang zu einer Leistung. Nach Art. 35 Abs. 3 Buchst. a DSGVO ist sie damit ohnehin regelmäßig folgenabschätzungspflichtig.
So unterstützen wir Sie bei der Einstufung
Die Einstufung eines Systems lässt sich in vier Schritten festhalten: der Anknüpfungspunkt nach Absatz 1 oder 2, die Rückausnahme nach Absatz 3, die Dokumentation nach Absatz 4 und, wo sie greift, die Grundrechte-Folgenabschätzung. Diese Prüfung gehört vor jede weitere Pflicht, weil sie bestimmt, welche überhaupt gilt.
Kontaktieren Sie uns!
Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!
Kontakt aufnehmenAlternativ können Sie um einen Rückruf bitten.